WAF の除外対象をパスの正規表現で指定するとき、命名規約（例: /webhooks 配下に全部あるはず）を前提にすると漏れる。実際には SendGrid が /sendgrid/events、SES が /ses/events と /webhooks の外にあることがあった。

コードベースの @Controller 定義から対象（外部 webhook controller 等）を全列挙して実パスを洗い、現行の regex がそれらをすべて拾えているか裏取りする。パスベースのインフラルール（WAF 除外・ルーティング）は命名規約でなく実ルート定義を正本として検証する。